В условиях, когда искусственный интеллект и глобальные цифровые сервисы меняют взаимоотношения между технологиями, экономикой и основными правами граждан, защита персональных данных становится стратегическим вопросом как для государств, так и для бизнеса. В Андорре эта дискуссия приобретает особую актуальность: как небольшая, но высоко интегрированная в международное пространство страна может обеспечить цифровое доверие, не сдерживая инновации? Об этом мы поговорили с директором Агентства по защите данных Андорры (APDA) Жессикой Обиолс (на фото в центре), обсудив ключевые вызовы в сферах конфиденциальности, кибербезопасности, искусственного интеллекта и цифровой конкурентоспособности.
Интервью: Ирина Рыбальченко
Андорра – небольшая страна, но при этом очень открытая и международно ориентированная. Каким образом APDA может использовать такой масштаб как стратегическое преимущество и сделать Андорру примером в области защиты данных на европейском уровне?
У Андорры есть важная особенность – близость между участниками экосистемы. В стране небольшого размера взаимодействие между государственными структурами, компаниями, профессиональным сообществом и гражданами более прямое, что позволяет развивать культуру защиты данных более эффективно через диалог, обучение и решения, адаптированные к национальным реалиям.
Для APDA такая близость создает возможности для укрепления трех ключевых направлений работы: профилактики, повышения осведомленности и эффективного надзора. Защита данных должна восприниматься не только как реакция на возникающие проблемы, но и как инструмент формирования доверия еще до появления рисков.
Небольшой размер страны также способствует более последовательному и комплексному внедрению лучших практик. Однако это требует совместной ответственности всех участников. APDA играет важную роль как надзорный орган, но защита данных зависит не только от агентства. Необходимо, чтобы государственные учреждения, компании, специалисты и граждане формировали культуру ответственного обращения с персональными данными.
С учетом стремительного распространения искусственного интеллекта, суверенных облачных платформ и трансграничных цифровых сервисов, где, на Ваш взгляд, проходит красная линия между полезными инновациями и чрезмерной эксплуатацией персональных данных?
Красная линия возникает тогда, когда инновации перестают быть понятными, соразмерными и уважительными по отношению к правам человека. Технологии способны приносить значительную пользу как государственному сектору, так и бизнесу, однако они не могут служить оправданием для неограниченного сбора и использования персональных данных.
С точки зрения защиты данных любой цифровой проект должен начинаться с ответа на ряд базовых вопросов: какие данные обрабатываются, с какой целью, на каком правовом основании, в течение какого срока, с какими гарантиями безопасности, с участием каких поставщиков и при каком уровне контроля со стороны самих пользователей. Если на эти вопросы нет четких ответов, риски существенно возрастают.
В сфере искусственного интеллекта, облачных сервисов и трансграничной обработки данных технологическая сложность не должна размывать юридическую ответственность. Даже если в процесс вовлечены алгоритмы, внешние подрядчики или инфраструктура, расположенная за пределами страны, должна сохраняться полная прослеживаемость обработки данных и обеспечиваться надлежащий уровень гарантий.
Полезная инновация – это инновация, которая предусматривает защиту данных уже на этапе проектирования. Чрезмерная эксплуатация начинается тогда, когда собирается больше данных, чем действительно необходимо, когда они используются для непредусмотренных целей или когда человек теряет реальный контроль над своей личной информацией.
Защита данных часто воспринимается как юридическая обязанность. Каким образом в Андорре она может стать фактором доверия, конкурентоспособности и даже экономической привлекательности?
Защита данных не должна рассматриваться исключительно как формальное или административное требование. При правильном подходе она становится показателем качества, ответственности и доверия. В цифровой экономике персональные данные являются крайне чувствительным активом, а то, как компания или государственная структура ими управляет, напрямую влияет на ее репутацию.
Для Андорры это может иметь стратегическое значение. Страна, которая стремится развивать цифровые сервисы, привлекать таланты, поддерживать технологические проекты и укреплять международное сотрудничество, должна демонстрировать высокий уровень правовой защищенности и надежные гарантии. Цифровое доверие строится не только на технологиях, но и на прозрачности, ответственности и уважении к правам граждан.
Защита данных также способствует повышению конкурентоспособности. Она помогает снижать риски, совершенствовать внутренние процессы, укреплять отношения с клиентами и пользователями, а также облегчает взаимодействие с зарубежными юрисдикциями, предъявляющими высокие требования к стандартам обработки информации. В этом смысле соблюдение требований – это не только способ избежать санкций, но и возможность продемонстрировать зрелость, надежность и готовность работать в условиях все более требовательной цифровой среды.
В стране, где государственные органы, банки, телекоммуникационные компании, медицинские учреждения и туристический сектор работают с большими объемами чувствительной информации, какой сектор сегодня наиболее уязвим перед новыми цифровыми рисками?
Я бы не стала выделять какой-то один сектор. Скорее следует говорить об уровнях риска. Они зависят от целого ряда факторов: характера обрабатываемых данных, объема информации, степени взаимосвязанности систем, зависимости от технологических поставщиков, применяемых мер безопасности, а также потенциальных последствий инцидента для граждан.
Безусловно, такие сферы, как здравоохранение, финансы, телекоммуникации и государственное управление, несут особую ответственность, поскольку работают с особо чувствительными данными или информацией, способной существенно влиять на жизнь людей. Однако цифровые риски уже давно перестали быть проблемой исключительно крупных организаций. Любая структура, использующая облачные решения, цифровые платформы управления, инструменты искусственного интеллекта или онлайн-каналы коммуникации, может столкнуться с соответствующими угрозами.
Поэтому важно не сводить этот вопрос исключительно к технической плоскости. Кибербезопасность и защита данных – это также организационные, юридические и культурные вопросы. Недостаточно просто внедрить технологическое решение. Необходимо понимать, какие данные обрабатываются, кто имеет к ним доступ, для каких целей они используются, как защищаются, сколько времени хранятся и каким образом организация будет реагировать на возможный инцидент.
Если бы Вам нужно было дать простой совет андоррским предпринимателям, запускающим цифровые проекты, какой принцип Вы бы им посоветовали взять за основу, чтобы интегрировать защиту данных на этапе разработки, а не после запуска?
Первый принцип очень прост: прежде чем собирать данные, необходимо задать себе вопрос, какие именно данные действительно нужны и для какой конкретной цели. Это ключевой момент. Многие проблемы возникают именно потому, что информация собирается «на всякий случай», без четко определенной цели и без оценки ее реальной необходимости для предоставления услуги.
Интеграция защиты данных на этапе проектирования означает учет этих вопросов с самого начала: при разработке приложения, создании форм регистрации, настройке механизмов согласия пользователей, распределении прав доступа, выборе поставщиков, размещении серверной инфраструктуры, определении сроков хранения информации, подготовке пользовательских уведомлений и внедрении мер безопасности.
Такой подход не следует воспринимать как ограничение. Напротив, это инвестиция в устойчивость проекта. Гораздо эффективнее сразу построить цифровой продукт с учетом требований защиты данных, чем впоследствии исправлять уже работающую систему, которая успела накопить данные и создать дополнительные риски. Защита данных по принципу «privacy by design» помогает создавать более надежные, прозрачные и устойчивые цифровые продукты в долгосрочной перспективе.
С учетом предстоящих изменений в законодательстве Андорры в сфере цифровых технологий и защиты данных, какие ключевые вызовы стоят сегодня перед законодателями, чтобы обеспечить защиту граждан, не сдерживая при этом инновации и конкурентоспособность страны?
Главная задача – сохранить разумный баланс. Законодательство должно эффективно защищать права граждан, особенно в условиях, когда персональные данные приобретают все большую ценность, но при этом оставаться понятным, прозрачным и применимым для организаций, осуществляющих обработку данных.
В цифровой сфере нормативная база должна быть способна реагировать на новые риски, не устаревая слишком быстро. Искусственный интеллект, облачные технологии, международная передача данных, кибербезопасность и широкое использование цифровых платформ создают вызовы, требующие регулирования, которое одновременно будет надежным, гибким и соразмерным.
С точки зрения защиты данных ключевым принципом остается то, что инновации не должны развиваться за счет ущемления прав граждан. Напротив, необходимые гарантии должны закладываться уже на этапе проектирования новых решений.
Действующий Закон о защите персональных данных Андорры уже предусматривает важные механизмы для достижения этой цели, включая принципы минимизации данных, прозрачности, безопасности, проактивной ответственности, защиты данных по принципу «privacy by design», а также проведение оценки воздействия в случаях, когда обработка данных может создавать повышенные риски.
Таким образом, выбор не стоит между защитой данных и инновациями. Настоящий вызов заключается в том, чтобы обеспечить развитие инноваций безопасным, ответственным и совместимым с основополагающими правами человека образом.
Для Андорры это также представляет собой возможность продолжать цифровую трансформацию, сохраняя высокий уровень доверия, правовой определенности и защиты граждан.
